CVE-2026-3516

WordPress için Contact List eklentisi, 3.0.18 dahil tüm önceki sürümlerde '_cl_map_iframe' parametresi üzerinden Depolanan Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, Google Maps iframe özel alanı işlenirken girdi temizleme ve çıktı kaçış işlemlerinin yetersiz olmasından kaynaklanmaktadır. class-contact-list-custom-fields.php dosyasındaki saveCustomFields() fonksiyonu, kullanıcı girdisinden <iframe> etiketlerini çıkarmak için bir regex kullanır ancak iframe özniteliklerini doğrulamaz veya temizlemez; bu da 'onload' gibi olay yöneticilerinin eklenmesine izin verir. Çıkarılan iframe HTML içeriği update_post_meta() aracılığıyla saklanır ve daha sonra class-cl-public-card.php dosyasında herhangi bir kaçış işlemi veya wp_kses filtrelemesi yapılmadan ön yüzde görüntülenir. Bu durum, Katılımcı (Contributor) seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, sayfalara rastgele web betikleri yerleştirmesini mümkün kılar ve bu betikler, bir kullanıcı etkilenen sayfaya her eriştiğinde çalıştırılır.